Резюме
Atlassian раскрыла CVE-2026-21589, критическую уязвимость произвольного доступа к файлам, затрагивающую несколько продуктов Atlassian Data Center. Уязвимость имеет оценку CVSS v4.0 9.3 (Критическая) и может позволить неаутентифицированному удаленному атакующему получить доступ к конкретным файлам внутри корневого каталога веб-приложения. Атакующему необходимо знать точное имя файла и путь. Уязвимость не предоставляет список каталогов или общую нумерацию файловой системы. Тем не менее, раскрытые конфиденциальные файлы могут потенциально предоставить информацию, полезную для дальнейших атак.
Что такое CVE-2026-21589?
CVE-2026-21589 — это уязвимость произвольного доступа к файлам, затрагивающая несколько продуктов Atlassian. Уязвимость может быть использована удаленно без аутентификации, позволяя атакующему извлекать конкретные файлы, расположенные в корневом каталоге веб-приложения. Важно отметить, что это не означает неограниченный доступ к файловой системе. Атакующему необходимо заранее знать целевой файл и его путь, а сама уязвимость не предоставляет нумерацию каталогов.
Затронутые продукты
CVE-2026-21589 затрагивает:
Bitbucket Data Center
Confluence Data Center
Jira Software Data Center
Jira Service Management Data Center
Bamboo Data Center
Crowd Data Center
Crucible
Fisheye
Широкое покрытие продуктов делает это особенно актуальным для организаций, работающих с несколькими платформами Atlassian.
Почему это важно
Уязвимость имеет оценку CVSS v4.0 9.3, с вектором сетевой атаки, низкой сложностью атаки, без необходимости в привилегиях и без необходимости взаимодействия с пользователем. Основная проблема заключается в том, что атакующий может получить из доступного файла. В зависимости от развертывания, раскрытые файлы могут содержать конфигурацию приложения или другую информацию, которая может помочь в последующих попытках разведки или компрометации. Для развертываний Atlassian, доступных в интернете, это значительно увеличивает срочность устранения уязвимости.
Облако против Data Center
CVE-2026-21589 в первую очередь затрагивает самостоятельно управляемые развертывания Atlassian. Atlassian утверждает, что затронутые облачные продукты уже были исправлены и что в ходе расследования не было найдено доказательств эксплуатации против клиентов Atlassian Cloud. Поэтому организациям, использующим Atlassian Data Center, следует сосредоточиться на выявлении уязвимых саморазмещенных экземпляров.
Исправленные версии
Atlassian выпустила исправления для затронутых продуктовых линий:
Bitbucket: 9.4.26, 10.2.8, 10.5.1
Confluence: 9.2.26, 10.2.19
Jira Software: 9.12.40, 10.3.26, 11.3.12
Jira Service Management: 5.12.40, 10.3.26, 11.3.12
Bamboo: 10.2.24, 12.1.12
Crowd: 6.3.7, 7.0.3, 7.1.7, 7.2.4
Crucible: 4.9.15
Fisheye: 4.9.15
Администраторы должны проверить точный продукт и ветку релиза перед обновлением и перейти на поддерживаемую исправленную версию, если это возможно.
Что должны сделать организации
Идентифицировать затронутые активы
Искать в CMDB, платформах управления уязвимостями, инвентаризациях приложений и платформах управления внешней атакующей поверхностью развертывания Atlassian.
Приоритизировать системы, доступные в интернете
Общедоступные экземпляры Jira, Confluence, Bitbucket и другие затронутые экземпляры должны получить немедленное внимание.
Исправить
Обновить затронутые продукты до соответствующих исправленных версий или более поздних поддерживаемых релизов.
Проверить экспозицию
Определить, могли ли конфиденциальные файлы существовать в доступных путях приложения.
Проверить журналы
Изучить журналы веб-сервера, прокси, WAF и приложения на наличие необычных неаутентифицированных запросов, особенно запросов, связанных с подозрительными паттернами доступа к файлам или манипуляциями с путями.
Исследовать перед закрытием
Для систем, которые были публично доступны во время уязвимости, исправление должно быть дополнено соответствующим обзором на наличие признаков эксплуатации.
Если немедленное исправление невозможно
Организации, которые не могут немедленно исправить, должны ограничить публичный доступ к затронутым экземплярам Atlassian, где это возможно. Atlassian также предоставляет смягчение на основе WAF/прокси, предназначенное для блокировки паттернов обхода путей, включая закодированные вариации. Организации, применяющие это смягчение, должны тщательно проверить правило, чтобы избежать нарушения законного трафика приложения.
Заключение
CVE-2026-21589 сочетает в себе неаутентифицированный удаленный доступ, низкую сложность атаки и оценку 9.3 CVSS по широкому спектру продуктов Atlassian. Организации, использующие Atlassian Data Center, должны рассматривать уязвимые экземпляры, доступные в интернете, как высокоприоритетный элемент устранения:
Идентифицировать → Ограничить экспозицию → Исправить → Проверить журналы → Исследовать.